知名云笔记应用Notion部分用户与AI对话记录遭黑客窃取

Notion部分用户AI对话记录遭窃取：供应商Fireworks被攻破，约1%工作区受影响

知名云笔记应用Notion近日确认，由于其AI服务提供商Fireworks AI遭遇黑客攻击，部分用户的Notion AI对话记录发生泄露。Notion提醒受影响用户，若曾向AI模型提供过账号、密码或API密钥等敏感凭证，应立即更换以保安全。此事件再次警示用户在使用AI时应避免输入敏感数据，以防范潜在风险。

事件经过：从“合成测试数据”到真实对话记录

根据Notion官方安全公告披露的时间线，事件的暴露过程存在一个关键的转折。

11月2日晚，Fireworks通知Notion称有少量数据被恶意行为者访问。Notion初步调查后判断，该数据集为Notion AI的“合成测试数据”，不包含客户数据。出于谨慎，Notion于11月3日主动断开了与Fireworks的所有系统连接，删除了Fireworks系统中的全部数据，并停止了双方通信。

然而11月6日，Fireworks再次通知Notion，称恶意行为者可能访问了真实的客户数据。Notion随即启动第二轮内部调查。11月8日，Fireworks确认了最终受影响的数据集。分析结果显示，其中包含了用于“Insights”功能的Notion AI聊天转录——Insights是Notion用于帮助客户了解自身AI使用情况的分析功能。11月9日，Notion联系了受影响客户。

泄露内容与影响范围

受影响的是约不到1% 的Notion工作区。泄露的聊天转录包含用户写入聊天框的任何模型输入或输出内容，但不包含工具调用结果。

Notion特别指出，在绝大多数受影响工作区中，这些转录是“不可归属的”（unattributable）——即聊天记录未被标注是谁写的、来自哪个工作区，转录本身也不包含将对话与具体用户、工作区或公司关联的信息。然而，聊天正文本身是完整的，如果用户曾在对话中粘贴敏感信息，这些内容可能已经暴露。

Notion已向受影响客户发送通知，工作区所有者可以在工作区内安全地检索和查看受影响数据，并通过邮件中的指引向成员分享各自的数据。Notion同时建议受影响用户“将该数据视为已暴露”，若在事件时间窗口内曾向Notion AI粘贴过密码、API密钥或其他凭证，应立即轮换。

此外，Notion于11月11日撤销了在受影响用户消息中发现的已暴露的Notion API密钥，并于11月12日向相关供应商报告了这些密钥。

上游供应商的连锁失守

这起事件的根源不在Notion自身系统，而在其AI基础设施供应商Fireworks。Fireworks披露，攻击者先入侵了其云服务提供商，再借此进入Fireworks的开发系统，获取了部分客户数据。失窃数据包括客户账单信息和部分数据集。Fireworks认为攻击者的动机是经济利益的——窃取大语言模型的访问权限，并通过转售token获利。

值得注意的是，这已是Fireworks在数月内的第二次安全事件。10月初，该公司曾因内部凭证被滥用而披露过一起事件，影响了部分客户评估任务中使用的环境变量（包含API密钥和令牌）。Fireworks表示已聘请Palo Alto Networks的Unit 42团队协助取证调查。

简短评述

Notion在这起事件中的处置节奏值得肯定：从11月2日收到首次通知到11月3日主动切断连接、删除数据，反应速度以小时计。但事件暴露出的深层问题不在响应速度，而在数据留存的实际状况与合同承诺之间的落差。

Notion表示与Fireworks的合同中约定了数据最小化乃至不保留数据的条款，但调查发现“Notion使用的Fireworks端点上数据被保留了”。这意味着，即便Notion自身遵守了数据治理的承诺，其供应商的实际操作可能并未对齐。对于依赖第三方AI基础设施的企业而言，合同条款的约束力在技术执行层面能走多远，是一个无法仅靠法律文本回答的问题。

另一个值得注意的细节是首次通知中“合成测试数据”的判断偏差。Fireworks在11月2日告知的是“少量数据被访问”，Notion据此判断为测试数据；四天后Fireworks才更正为可能涉及客户数据。这一信息传递的延迟，使得Notion在11月3日已经切断连接并删除数据之后，仍需要等待上游确认最终范围。供应链安全事件的响应，不仅取决于下游厂商的反应速度，也受制于上游厂商对自身损失范围的认知速度。